Cette semaine, CTI fournit une mise à jour sur le chargeur FakeBat, y compris ses principales méthodes de distribution et son infrastructure adverse. CTI also breaks down the key findings from ESET’s recent threat report from the first half of 2024.
1. Les programmes malveillants FakeBat Loader-as-a-Service se propagent via plusieurs chaînes
Sekoia a observé plusieurs campagnes FakeBat différentes jusqu’à présent en 2024. Son dernier rapport explore les différentes méthodes de distribution et composants d’infrastructure qu’ils ont découverts.
Selon Sekoia, le chargeur FakeBat a été l’un des chargeurs les plus étendus au premier trimestre 2024 pour tirer parti du téléchargement par lecteur. Le chargeur était généralement utilisé pour lancer une charge utile d’étape suivante telle que Lumma, RedLine et d’autres.
FakeBat sur les forums cybercriminels
FakeBat a été observé pour la première fois sur un forum souterrain en décembre 2022 lors de sa publicité et de sa vente en tant que chargeur en tant que service dans le forum Exploit. Elle a fait la publicité d’un malware de chargeur au format MSI avec diverses capacités anti-détection. Le chargeur donne également à ses utilisateurs un panneau d’administration pour générer et gérer leurs campagnes.
Acteurs distribuant FakeBat
Sekoia a identifié plusieurs chaînes d’infection FakeBat qui, selon elle, correspondent à plusieurs clients différents de la MaaS.
Ils ont également identifié plusieurs campagnes qui se présentent comme des logiciels populaires, notamment 1Password, Chrome, Microsoft Teams, Zoom, VMware et bien d’autres. Les acteurs derrière ces campagnes utilisent Google Ads pour faire apparaître ces sites Web malveillants en haut de la page. Lorsqu’une victime clique sur l’un de ces sites malveillants, elle est dirigée vers une page qui ressemble étroitement au site Web légitime. Un bouton sur la page redirigera l’utilisateur et entraînera le téléchargement d’un fichier MSIX signé, alias FakeBat.
Les acteurs malveillants compromettent également les sites WordPress pour inciter les utilisateurs à croire que leur navigateur Chrome a besoin d’une mise à jour. Depuis juin 2024, Sekoia a identifié plus de 250 sites Web compromis qui entraînent le téléchargement de FakeBat.
Un troisième moyen de distribution a été observé dans mai 2024 lequel ciblait la communauté web3 . Dans ce cluster d’activité, le logiciel malveillant a été distribué comme une fausse application de chat web3 . L’acteur malveillant a utilisé des sites Web, vérifié des comptes de réseaux sociaux et des vidéos promotionnelles pour augmenter le sentiment de légitimité de leur application. Cette activité était un peu différente des autres, car elle nécessitait le téléchargement d’un code d’invitation.
Infrastructure antagoniste
Sekoia a pu découvrir une quantité décente d’infrastructures adverses associées aux campagnes FakeBat. Ils pensent que les serveurs FakeBat C2 récents sont susceptibles de « filtrer le trafic en fonction de caractéristiques telles que la valeur utilisateur-agent, l’adresse IP et l’emplacement », ce qui permet à l’opérateur d’avoir un ciblage très stratégique et personnalisé. Les chercheurs ont également compilé une liste de serveurs FakeBat C2 et de domaines d’hébergement qui sont considérés comme appartenant aux opérateurs FakeBat.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il existe tellement d’offres MaaS qu’il peut être difficile de suivre celles qui représentent la plus grande menace. En tant que l’un des chargeurs les plus répandus à utiliser le lecteur par technique en 2024, FakeBat mérite certainement d’être attentif.
Le fait que ce logiciel malveillant ne soit vendu qu’à un nombre limité d’utilisateurs le rend encore plus impressionnant, étant donné qu’il a eu des conséquences considérables. FakeBat semble être distribué de nombreuses manières, ce qui est probablement le résultat de l’utilisation du logiciel malveillant par différents acteurs. Cela dit, il est probable que ses méthodes de distribution continueront d’évoluer à mesure que les acteurs malveillants recherchent continuellement de nouvelles techniques.
2. Principales conclusions du rapport sur les menaces de l’ESET
ESET a publié son rapport sur les menaces pour le premier semestre de 2024. Le rapport couvre les tendances des menaces de décembre 2023 à mai 2024 en fonction de la télémétrie ESET.
Certaines des tendances observées comprennent une augmentation du vol d’ informations sur les logiciels malveillants usurpant l’identité des outils d’IA générative et une diminution des menaces Android.
Les menaces Android diminuent
ESET a constaté une baisse des détections de menaces Android au cours du premier semestre. Cette baisse est une légère surprise, car les menaces Android augmentent souvent autour des événements saisonniers.
Même avec cette diminution, les logiciels malveillants Android continuent d’évoluer. Un exemple de cela est vu avec le logiciel malveillant GoldPickaxe qui cible à la fois Android et iOS. La version Android est distribuée sur des sites Web qui se font passer pour le Google Play Store. L’acteur à l’origine de ce logiciel malveillant est considéré comme un groupe organisé parlant chinois appelé GoldFactory.
ESET a également observé une évolution des menaces financières Android. Certaines des tactiques des récentes attaques de logiciels malveillants Android comprennent l’utilisation abusive des services d’accessibilité Android, l’exploitation de systèmes automatisés pour transférer des fonds sans autorisation et le contournement de 2FA.
Menaces Linux
Dans son rapport, ESET a analysé une menace Linux spécifique appelée Operation Windigo. Cette opération tire parti de la famille de logiciels malveillants Ebury qui existe depuis environ 10 ans et continue de constituer une menace.
Ebury est une porte dérobée OpenSSH et un voleur d’informations d’identification et sert de noyau à un cluster de menaces côté serveur. Le logiciel malveillant recherche souvent les portefeuilles cryptographiques, tirant parti de son existence dans les centres de données du monde entier pour mener des attaques contradictoires au milieu.
Menaces liées à l’IA
Il n’est pas surprenant qu’il y ait eu plusieurs attaques enregistrées qui impliquaient l’IA d’une manière ou d’une autre au cours du premier semestre de l’année. ESET a observé plusieurs cas dans lesquels les noms des modèles d’IA étaient utilisés comme attraits pour fournir des logiciels malveillants. Un exemple de cela a été observé lorsqu’ils ont observé une extension de navigateur de programme d’installation malveillante qui prétendait être une application de bureau pour l’IA, mais a plutôt téléchargé des logiciels malveillants.
Menaces Web
L’exploitation des vulnérabilités du plug-in WordPress a continué d’être une menace au cours des six derniers mois. Plus particulièrement, les acteurs malveillants tirent parti de la famille Balada Injector et JS/Agent.
Voleurs d’informations et téléchargeurs
Les infostealers continuent également d’être une préoccupation majeure, les acteurs malveillants les utilisant de plus en plus pour cibler les entreprises de jeux et les joueurs. Les infostealers populaires des derniers mois incluent RedLine et Lumma, entre autres.
Les téléchargeurs ont commencé à changer leurs méthodes de livraison, avec une augmentation de 10 % du nombre de téléchargeurs au cours des derniers mois. Les menaces s’appuyant sur les macros ont également augmenté pendant cette période, même si les macros sont bloquées par défaut par Microsoft.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Il est important de garder à l’esprit que ces tendances sont basées sur la télémétrie d’une entité particulière et ne sont pas indicatives de l’ensemble du paysage. Cependant, de nombreuses tendances de l’ESET s’alignent sur d’autres études du secteur et leur rapport est une lecture intéressante.
Ce qui est également intéressant, c’est la répartition des différentes façons dont les téléchargeurs sont livrés, alors que les acteurs commencent à trouver de nouvelles voies pour échapper à la détection. Par exemple, nous commençons à voir une baisse de l’utilisation du HTML. Certains de ceux que nous voyons fréquemment, lier LNK et VBS, ne représentaient pas un pourcentage aussi important que nous l’avons supposé.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium et commencez une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
